Sécurité de l'information. Compréhension générale.
Telegram Channel: https://t.me/protecciondelainformacion
Groupe au Télégramme: https://t.me/securiteinformatique2
Site: https://legascom.ru
E-mail: online@legascom.ru
Au cours des trois dernières décennies, les technologies de l'information ont connu une véritable révolution. L'avènement de l'hypertexte, de la téléphonie IP, l'augmentation de la fréquence d'horloge des processeurs et de la bande passante des canaux de communication, le développement des technologies cloud et des appareils mobiles, et bien plus encore, ont considérablement complexifié le développement, mais aussi la maintenance, de l'infrastructure informatique. Un nouveau métier a émergé : celui d'administrateur système.
Un administrateur système est un spécialiste qui assure le bon fonctionnement de l'ensemble de l'infrastructure informatique d'une entreprise. Assurer la sécurité informatique des ressources de l'entreprise est loin d'être la dernière priorité de son travail. Pour garantir la sécurité informatique, l'administrateur doit installer correctement les logiciels et installer les mises à jour et les correctifs sur les logiciels déjà utilisés. Résoudre ces problèmes, en particulier dans les grandes entreprises, nécessite souvent beaucoup de temps et de spécialistes, car différents spécialistes interviennent généralement dans la maintenance du système téléphonique, des serveurs de messagerie, des ressources web et des autres systèmes. Cependant, chacun de ces systèmes doit être conçu en tenant compte des exigences de sécurité informatique. Cependant, les systèmes d'information sont généralement interconnectés. Par exemple, les serveurs de messagerie exécutant Microsoft Exchange doivent appartenir au domaine Active Directory, le système de téléphonie IP est connecté au système de messagerie et les serveurs web sont connectés aux serveurs de bases de données. De plus, grâce au développement du concept BYOD (Bring Your Own Device), de nombreux employés utilisent désormais leurs appareils mobiles : tablettes et téléphones. Une sécurité informatique efficace pour de tels systèmes intégrés nécessite des connaissances techniques approfondies dans les domaines concernés de la part d'un spécialiste compétent, car une sécurité insuffisante d'un élément du système intégré peut anéantir tous les efforts de protection des autres éléments. Comme le dit le proverbe, la solidité de toute une chaîne est déterminée par la solidité de son maillon le plus faible.
Il est préférable d'utiliser les paramètres les plus stricts pour toutes les ressources dès la création d'un réseau d'entreprise. En règle générale, les fabricants d'applications et de matériel recommandent eux-mêmes l'utilisation des modes de fonctionnement les plus sécurisés et décrivent leurs paramètres en détail (par exemple, l'utilisation de mots de passe complexes pour les connexions des utilisateurs, la protection des e-mails contre les envois indésirables, la désactivation des comptes utilisateurs par défaut, l'interdiction de l'accès à distance aux ressources de l'entreprise, etc.).
Cependant, une situation typique est celle d'une infrastructure d'entreprise construite sur plusieurs années par différents spécialistes, sur différents modèles d'équipements et d'applications. Parallèlement, des services cloud sont intégrés à cette infrastructure, tels que le stockage de fichiers, les applications bureautiques, etc. Le problème évoqué précédemment concernant l'utilisation des appareils mobiles est également pertinent. Dans ce cas, les ressources de l'entreprise présentent, pour diverses raisons, des vulnérabilités et des lacunes en matière de sécurité informatique. En règle générale, un administrateur système a beaucoup de travail. Surtout dans les petites entreprises, où l'on compte environ 100 postes de travail, une demi-douzaine à deux douzaines de serveurs et une, voire deux personnes maximum, doivent assurer la maintenance de l'ensemble. Par conséquent, ces spécialistes sont quotidiennement occupés par des tâches courantes, comme la résolution des problèmes utilisateurs, le remplacement des cartouches d'imprimante et du papier fax, la préparation des postes de travail pour les nouveaux utilisateurs, etc. Parallèlement, les tâches visant à garantir la configuration sécurisée des logiciels et du matériel, ainsi que la rédaction des instructions et des politiques de sécurité informatique pour les utilisateurs, sont souvent mises en veilleuse et, en règle générale, non réalisées. La raison en est à la fois le surmenage des administrateurs système et leur manque de connaissances et de compétences appropriées pour garantir la sécurité des informations.
Pour les grandes entreprises, ce problème est moins important, car, par exemple, les grandes banques disposent d'un département, voire d'une division, dédié à la sécurité de l'information. Par conséquent, les tâches de sécurité de l'information ne sont plus gérées par les administrateurs système, mais par les administrateurs de la sécurité. Parallèlement, les administrateurs système et les administrateurs de la sécurité de l'information effectuent des tâches différentes : certains assurent la maintenance des ressources informatiques et leur bon fonctionnement, tandis que d'autres assurent la sécurité de l'infrastructure informatique. Les administrateurs de la sécurité de l'information élaborent des politiques et des instructions pour les administrateurs système.
Quel que soit le responsable de la sécurité de l'information, administrateur système ou administrateur de la sécurité de l'information, ce spécialiste doit évaluer régulièrement la sécurité des ressources informatiques de l'entreprise, c'est-à-dire auditer la sécurité de l'information du système. Bien entendu, de nombreuses grandes organisations préfèrent faire appel à des auditeurs professionnels pour vérifier la sécurité de leur système d'information. Cependant, cela n'est pertinent que pour les grandes organisations soumises aux exigences de diverses normes (GOST, ISO, etc.). Les petites entreprises ne peuvent tout simplement pas se permettre un tel audit ; la réalisation d'un audit pratique incombe donc à l'administrateur système, principal spécialiste du réseau de l'entreprise. De plus, ces contrôles doivent être effectués régulièrement, ce qui entraîne également des coûts supplémentaires.
